تُعدّ كلمة المرور من أقدم وسائل الأمان في التاريخ البشري. في روما القديمة، كان الحراس يطلبون "تيسيرا" — كلمة مرور محفورة على لوح خشبي — للسماح بمرور الجنود ليلاً. يصف المؤرخ اليوناني بوليبيوس (القرن الثاني قبل الميلاد) في كتابه "التواريخ" كيف كان "كلمة السر" تُوزَّع كل مساء من قِبَل القائد العسكري، وتُمرَّر من حارس إلى حارس عبر المعسكر. ويذكر الكتاب المقدس استخدامًا مشابهًا في سفر القضاة (12:5-6): كان الجلعاديون يُعرّفون الأفرايميين بمطالبتهم بنطق "شيبوليث" — فمن قال "سيبوليث" كُشِف أمره. أصبحت "كلمة المرور اللغوية" هذه مفهومًا أساسيًا في أمن المعلومات.
في العصور الوسطى، استخدمت القلاع المحصنة والمدن المسوّرة كلمات المرور للتحكم في الدخول من بواباتها. طوّرت النقابات الحرفية، وبخاصة الماسونيون الأحرار، أنظمة متقنة من الكلمات والإشارات والمصافحات للتعرف على أعضائها. كانت "كلمة البنّاء"، التي تُنقَل شفهيًا أثناء التلقين، تُثبت الانتماء إلى الأخوّة. خلال حرب المائة عام (1337-1453)، استخدمت الجيوش الإنجليزية والفرنسية كلمات مرور يومية للتمييز بين الحلفاء والأعداء في القتال الليلي. ويروي المؤرخ جان فرواسار أن الخلط في كلمات المرور في معركة كريسي (1346) تسبب في مقتل العديد من الجنود بنيران صديقة.
بدأ العصر الحاسوبي لكلمة المرور عام 1961 في معهد ماساتشوستس للتكنولوجيا (MIT)، عندما طبّق فرناندو كورباتو أول نظام مصادقة بكلمة مرور لنظام المشاركة الزمنية المتوافق (CTSS). أتاح هذا النظام لعدة مستخدمين مشاركة حاسوب IBM 7094 مع حماية ملفات كل منهم. في عام 1962، نفّذ آلان شير، طالب دكتوراه في MIT، أول "هجوم" معروف: وجد الملف الرئيسي الذي يحتوي على جميع كلمات المرور بنص عادي وطبعها، فحصل على وقت حوسبة إضافي. توضح هذه الحادثة الثغرة الجوهرية في تخزين النص العادي.
شهد علم كلمات المرور نقطة تحول كبرى عام 1976 عندما اخترع روبرت موريس الأب، الباحث في مختبرات بيل، تجزئة كلمات المرور في يونكس بدالة crypt() المبنية على خوارزمية DES. للمرة الأولى، لم تعد كلمات المرور تُخزَّن بنص عادي بل كـ"تجزئة" لا رجعة فيها. في عام 1979، أضاف موريس مفهوم "الملح" (salt) — قيمة عشوائية تُضاف قبل التجزئة لمنع الهجمات بالجداول المحسوبة مسبقًا. أصبحت الإنتروبيا، المستعارة من نظرية المعلومات لكلود شانون (1948)، المقياس المعياري: E = L × log₂(N)، حيث L هو الطول وN عدد الأحرف الممكنة. تبلغ إنتروبيا كلمة مرور مكونة من 12 حرفًا مختلطًا نحو 79 بت، وهو ما يكفي لمقاومة هجمات القوة الغاشمة لآلاف السنين.
يكشف علم نفس كلمات المرور عن مفارقات مذهلة. في عام 2003، نشر بيل بور من المعهد الوطني للمعايير والتكنولوجيا (NIST) الملحق A من الوثيقة SP 800-63، موصيًا بكلمات مرور معقدة تتضمن أحرفًا كبيرة وأرقامًا ورموزًا خاصة. في عام 2017، اعترف في مقابلة مع وول ستريت جورنال بأن هذه التوصية كانت "خاطئة إلى حد كبير": يتحايل المستخدمون على التعقيد باستبدالات متوقعة ("P@ssw0rd!") والتغييرات المتكررة تدفعهم نحو أنماط ضعيفة. أثبت عالم النفس جيف يان من جامعة كامبريدج عام 2004 أن كلمات المرور المبنية على عبارات ترابطية أقوى وأسهل حفظًا من تلك المبنية على التعقيد المحض.
تشهد الصناعة المعاصرة تحولًا جذريًا. راجع NIST إرشاداته عام 2017 (SP 800-63B)، مفضلًا الطول على التعقيد ومتخليًا عن انتهاء الصلاحية الدوري الإلزامي. تبعته مايكروسوفت عام 2019 بإزالة تدوير كلمات المرور من معاييرها الأمنية. كشف تسريب بيانات RockYou عام 2009 — 32 مليون كلمة مرور بنص عادي — أن "123456" تصدرت القائمة، تليها "12345" و"password". يؤكد تقرير NordPass لعام 2023 أن "123456" لا تزال كلمة المرور الأكثر استخدامًا في العالم، وتُكسَر في أقل من ثانية. تمثل خوارزمية Argon2، الفائزة بمسابقة تجزئة كلمات المرور عام 2015، أحدث ما توصلت إليه التقنية. وفي الوقت ذاته، قد تُبشّر مفاتيح المرور (passkeys) المبنية على FIDO2/WebAuthn، والتي تروّج لها غوغل وآبل ومايكروسوفت منذ 2022، بنهاية عصر كلمات المرور التقليدية.